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Onderwerp Rapportage 4e kwartaal 2013 - gegevensbescherming 



In het algemeen overleg van 7 maart 2012 (Kamerstukken II 2011/12, 32 761, 
nr. 27) heb ik toegezegd u periodiek op de hoogte te houden van de stand van 
zaken over de onderhandelingen in Brussel over de Algemene verordening 
gegevensbescherming en de richtlijn gegevensbescherming opsporing en 
vervolging. 

Bij brief van 7 november 2013, nr. 32761-54/2013D44262, hebben de leden van 
de Vaste Commissie voor Veiligheid en Justitie mij verzocht nog voor het 
Kerstreces te informeren over de actuele stand van de onderhandelingen over het 
gegevens beschermingspakket en daarbij specifiek in te gaan op de 
besluitvorming in het Europees Parlement. 

In deze brief doe ik allereerst verslag van de onderhandelingen in de maanden 
oktober en november 2013 en de daaropvolgende besluitvorming in de JBZ-Raad 
van 7 en 8 december 2013. Er is zowel over de ontwerpverordening als over de 
ontwerprichtlijn onderhandeld. Het Voorzitterschap legt de prioriteit duidelijk bij 
de verordening. 

Over de onderhandelingen die nog in de maand december 2013 zullen 
plaatsvinden zal ik aan het einde van het eerste kwartaal van 2014 verslag doen. 

Vervolgens zal ik inhoudelijk ingaan op de door de LIBE-Commissie uit het 
Europees Parlement op 21 oktober 2013 aanvaarde amendementen en schets 
geven van het meest waarschijnlijke tijdpad. 

Rapportage onderhandelingen oktober en november 2013 

Raadswerkgroep 2 oktober 2013 

In deze raadswerkgroep is een begin gemaakt met de tweede behandeling van de 
tekst van de ontwerprichtlijn gegevensbescherming opsporing en vervolging, op 
basis van een door het voorzitterschap opgestelde nieuwe tekst. De behandeling 
betrof de artikelen 1 tot en met 7 van de ontwerprichtlijn. 

Artikelen 1 en 2 

Deze artikelen betreft het onderwerp en het toepassingsbereik van de 
ontwerprichtlijn. Nederland is niet gelukkig met de afbakening van de reikwijdte 
van de ontwerp richtlijn en de ontwerpverordening. 
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Het pakketvoorstel van de Commissie komt erop neer dat de gelding van de 
richtlijn - wat de politie betreft - beperkt blijft tot wat in Nederland de 
strafrechtelijke handhaving van de rechtsorde genoemd wordt (art. 12, eerste lid, 
Politiewet 2012). De overige taken van de politie, zoals de handhaving van de 
openbare orde, de hulpverleningstaken en de taken ten dienste van de justitie 
zouden, naar het voorkomt, onder de verordening komen te vallen. Hiervoor kan 
worden verwezen naar de verslag van de onderhandelingsronden die in april, mei 
en juni 2013 hebben plaatsgevonden (Kamerstukken I, 33 169, L, 
Raadswerkgroep 9, 10 en 11 april 2013) In de nieuwe tekst van het 
Voorzitterschap is de handhaving van de openbare orde als optie toegevoegd aan 
de tekst van artikel 1. 

Nederland maakt een studievoorbehoud bij de voorgestelde bepaling en geeft aan 
dat de politie ook is belast met administratieve en hulpverleningstaken die nauw 
ver band houden met het opsporen en voorkomen van strafbare feiten. Een 
voorbeeld daarvan is de Wet wapens en munitie. Nederland zou graag zien dat 
deze taken ook onder de reikwijdte van de ontwerprichtlijn worden gebracht en 
steunt de voorstellen van andere delegaties terzake. In ieder geval dient ook de 
openbare orde onder de reikwijdte van de richtlijn te worden gebracht; Nederland 
steunt deze optie van het Voorzitterschap. Tevens zou Nederland graag zien dat 
in de ontwerprichtlijn een bepaling wordt opgenomen, naar het model van artikel 
1, vijfde lid, van het kaderbesluit gegevensbescherming opsporing en vervolging, 
waarin de lidstaten de mogelijkheid wordt geboden op nationaal niveau hogere 
normen te handhaven dan die van de richtlijn. 
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Artikel 3 

Dit artikel bevat de definities. Nederland is tevreden met de voorgestelde 
definities. Wel verzoekt Nederland om enige uitleg over het begrip genetische 
gegevens (onderdeel 10), vanwege de vraag of hieronder ook de gegevens over 
het geslacht van een persoon vallen. De Commissie zegt toe dit te zullen 
verhelderen. 

Artikel 4 

Dit artikel heeft betrekking op de beginselen van gegevensverwerking. Nederland 
steunt het voorstel van een andere delegatie om in de tekst van deze bepaling 
een nieuw lid op te nemen dat voorziet in de mogelijkheid van de verwerking van 
persoonsgegevens voor doelen die niet verenigbaar zijn met het doel van de 
oorspronkelijke verwerking. Verder bepleit Nederland om het woord 'eerlijk' in 
onderdeel a, dat in de tekst van het Voorzitterschap is geschrapt, terug te 
plaatsen. Deze voorwaarde is ook terug te vinden in artikel 7 van de 
ontwerpverordening. Tenslotte verzoekt Nederland om schrapping van de 
woorden 'wanneer noodzakelijk' in onderdeel d, omdat deze woorden suggereren 
dat persoonsgegevens niet altijd up to date behoeven te worden gehouden. 

Artikelen 5 en 6 

In de door het Voorzitterschap stelt voorgestelde tekst zijn deze artikelen, op 
verzoek van de delegaties, geschrapt. De inhoud van deze artikelen is opgenomen 
in een overweging. Het overgrote deel der lidstaten steunt de schrapping. 

Artikel 7 

Dit artikel betreft de rechtmatigheid van de verwerking. Nederland kan 
instemmen met de door het Voorzitterschap voorgestelde tekst. 



Raadswerkgroep 17 oktober 2013 en Friends of the Presidency 18 oktober 2013 
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De JBZ-raad van 7 en 8 oktober 2013 heeft de Raadswerkgroep richtsnoeren 
meegegeven voor de verdere bespreking van het onestopshop-beginsel. Het 
onestopshop-beginsel houdt in dat bij alle dataprotectiezaken binnen de EU 
waaraan een grensoverschrijdend aspect verbonden is moet worden 
samengewerkt tussen de toezichthouders van de betrokken lidstaten, zodanig dat 
de lasten voor bedrijven zo gering mogelijk blijven en de eenvormige uitleg van 
de verordening zoveel mogelijk gewaarborgd blijft. Bij voorkeur moet een zaak, 
ook bij grensoverschrijdende aspecten, door één toezichthouder worden 
behandeld. Dat zou de toezichthouder van de lidstaat moeten zijn waar zich de 
hoofdvestiging van de verantwoordelijke van en onderneming zich bevindt. 

Het beginsel is eenvoudig, maar blijkt in de praktijk bijzonder moeilijk vorm te 
geven. Het is alleen al gelet op de omvang en ingewikkeldheid van het 
gegevensbeschermingsrecht ondenkbaar dat dit kan worden opgelost door één 
centrale Europese toezichthouder in te stellen. Dat betekent dat 28 
toezichthouders in de EU moeten samenwerken om de eenvormige uitleg van de 
verordening te verzekeren en dat eventuele geschillen tussen die toezichthouders 
moeten worden opgelost op een manier die geen afbreuk doet aan de spoedige 
afhandeling van een zaak. Veel lidstaten achten enkele implicaties van het 
onestopshop-beginsel onacceptabel. De gedachte dat een beslissing van de 
toezichthouder van het land van de hoofdvestiging ook bindend zou moeten zijn 
in andere landen ligt zeer gevoelig, zeker als dat inhoudt dat ook boeteoplegging 
tot de mogelijkheden behoort. Verder is de gedachte dat betrokkene die de 
bevoegde toezichthouder wil benaderen of zijn beslissing wil aanvechten is 
aangewezen op de toepassing van vreemd recht voor een aantal grote lidstaten 
onaanvaardbaar. Voor sommige betrokken lidstaten speelt op de achtergrond bij 
die stellingname mee dat werkwijze en financiering van hun toezichthouder 
moeten worden veranderd als de verordening wordt aangenomen en de 
bereidheid daartoe beperkt is. 

Daarnaast is omstandigheid dat het bestuursrecht van de lidstaten niet is 
geharmoniseerd een bron van moeilijkheden. De discussie over de onestopshop 
kan niet los gezien worden van de bevoegdheden van de toezichthouder. Die 
bevoegdheden moeten deels op grond van de verordening, en deels op grond van 
bestaand nationaal recht worden uitgeoefend. Het nationale recht verschilt van 
staat tot staat. Zo zijn er lidstaten waar geen bestuursrechtelijke 
boetebevoegdheden bestaan en de introductie daarvan grondwettelijke bezwaren 
oproept. Het uiteenlopen van civiele procedures (tussen betrokkenen en 
verantwoordelijken voor de burgerlijke rechter) en bestuursrechtelijke procedures 
(door belanghebbenden tegen de besluiten van toezichthouders voor de 
bestuursrechter) lijkt onoplosbaar en kan in de toekomst mogelijk voor langdurige 
procedures zorgen waarbij het Hof van Justitie van de EU de knoop zal moeten 
doorhakken. 

De discussie is op technisch niveau in de Raadswerkgroep voortgezet aan de hand 
van een nieuw document van het voorzitterschap met vier vragen. Daaraan 
gekoppeld zijn voorstellen met gewijzigde artikelen van de verordening. Het 
Voorzitterschap stelt allereerst voor om het beginsel van de onestopshop als 
leidend beginsel aan te merken te laten zijn en legt twee verschillende scenario's 
voor, nl. (a) of de bevoegdheid van de "lead authority"(de toezichthouder van de 
lidstaat waar zich de hoofdvestiging van de verantwoordelijke bevindt) zich 
beperkt tot gevallen van grensoverschrijdende zaken waarbij vestigingen in 
andere lidstaten bestaan of (b) zich ook uitstrekt tot betrokkenen in andere 
lidstaten en meer in het algemeen betrekking moet hebben op het vrij 
gegevensverkeer in de Unie. Als tweede vraag wordt aan de lidstaten voorgelegd 
welke bevoegdheden zij de lead authority willen toevertrouwen. 
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Het is dus de vraag of dat alleen onderzoeks- en lichte handhavingsmaatregelen 
betreft, of dat in aanvulling daarop ook nog reparatoire sancties kunnen worden 
vastgesteld, of dat bovendien bestraffende sancties (administratieve boetes) 
kunnen worden vastgesteld. De derde vraag aan de lidstaten is hoe zij de tegen 
de relatie tussen de lead authority en de betrokken andere lokale toezichthouders 
aankijken, en waar het zwaartepunt van de zaaksbehandeling moet liggen. Lokaal 
of juist centraal. De vierde vraag is welke bevoegdheden de lidstaten aan de 
European Data Protection Board (EDPB) zouden willen toekennen om eventuele 
verschillen van opvatting tussen toezichthouders te willen oplossen. 

Bij de beantwoording van de vragen blijkt dat de lidstaten zeer uiteenlopende 
opvattingen hebben. Nederland is altijd voorstander geweest van de onestopshop- 
beginsel omdat dit in het gezamenlijk belang is van het bedrijfsleven en dat van 
betrokkenen is. De eenvormige en gecoördineerde toepassing en handhaving van 
de verordening is essentieel. Het vereist aanvaarding van het optreden van 
toezichthouders dat buiten de grenzen effect heeft. Het nabijheidsbeginsel is 
vanuit burgerperspectief belangrijk, maar er zal gekozen moeten worden. Het 
onestopshop-beginsel en het nabijheidsbeginsel zijn niet gemakkelijk te 
verenigen, zo stelt Nederland. Een eenvormige uitleg van de verordening begint 
bij het toeleiden van een geschil aan één rechtsstelsel. Het heeft de voorkeur van 
Nederland dat dit het rechtsstelsel is van de lidstaat waar zich de hoofdvestiging 
van de verantwoordelijke bevindt. Daarmee is moeilijk verenigbaar dat een 
betrokkene of derde in elke andere lidstaat van de EU het recht heeft te klagen bij 
elke toezichthouder. Nederland is voor een robuust instrumentarium voor de lead 
authority en kiest daarom voor de zwaarste optie bij de toedeling van 
bevoegdheden. Maar Nederland wil zich soepel opstellen en kan de minder zware 
optie zonodig aanvaarden. Een optie met alleen lichte bevoegdheden is geen 
oplossing voor een werkbare en inhoudsvolle onestopshop. Voor welke optie ook 
gekozen wordt, Nederland is van mening dat de lead authority bindende besluiten 
moet kunnen nemen en dat de besluiten en de eventuele rechtszaken binnen één 
rechtssysteem dienen te passen. Nederland blijft overigens voorstander van een 
sterke rol voor de EDPB. 

Raadswerkgroep 7 en 8 november 2013 

Op deze raadswerkgroep wordt eerst gesproken over de verhouding tussen de 
onderhandelingen over de verordening en de onderhandelingen die in Straatsburg 
in het kader van de Raad van Europa plaatsvinden over de herziening van het 
Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde 
verwerking van persoonsgegevens van 28 januari 1981 (Trb. 1988, 7). Bij de 
onderhandelingen over het Dataprotectieverdrag moeten de lidstaten op grond 
van de bevoegdheidsverdelingen die voortvloeien uit het Verdrag inzake de 
Europese Unie met die van de EU coördineren. Dit vergt niet alleen inhoudelijke 
afstemming over het Uniestandpunt. Anders dan de verordening 
gegevensbescherming is het Dataprotectieverdrag van toepassing op het terrein 
van de nationale veiligheid. Dat betekent dat de lidstaten in het kader van de 
Raad van Europa hun bevoegdheden volledig kunnen uitoefenen. Dat spreekt te 
meer nu alleen de lidstaten en niet de Unie stemhebbend lid zijn van de Raad van 
Europa. 

Aan de Commissie is in mei 2013 op grond van art. 218 van het Verdrag 
betreffende de werking van de Europese Unie een mandaat verleend voor het 
voeren van die onderhandelingen. Over het gebruik van dat mandaat moet de 
Commissie verslag doen aan de lidstaten en zij moet ook zorgen voor coördinatie 
van standpuntbepaling. Het stelt veel lidstaten, ook Nederland, teleur dat de 
Commissie ter voorbereiding van de eerste onderhandelingsronde slechts een 
minimale inspanning heeft geleverd. 
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Men heeft zich beperkt zich tot het aanduiden van de bekende inhoudelijke 
verschilpunten tussen verdrag en ontwerpverordening. Een visie op de functie van 
het Data protectieverd rag en een visie op de consequentie van 
bevoegdheidsverdeling ontbreekt. Het kost veel moeite de Commissie zover te 
krijgen dat ze haar verplichtingen daadwerkelijk nakomt. 

De raadswerkgroep zet de discussie over het onestopshop-beginsel voort aan de 
hand van een vragenlijst die door het voorzitterschap is opgesteld. 

De eerste vraag is welke beperkingen op de bevoegdheden van de "lead 
authority" de lidstaten bereid zijn te aanvaarden ten gunste van lokale 
autoriteiten, zodat minder belangrijke zaken zoveel mogelijk lokaal kunnen 
worden afgedaan. Nederland stelt zich zo soepel mogelijk op om de 
besluitvorming zoveel mogelijk te bevorderen. Nederland ziet niet veel in het 
maken van een inhoudelijk onderscheid tussen kleine en grote zaken. Wel is het 
redelijk om meer ruimte te geven aan zaken die op lokaal niveau naar voren 
komen en die ook op lokaal niveau kunnen worden afgedaan. Bij de bepaling 
welke zaken dat zijn kunnen de volgende uitgangspunten bepalend zijn, aldus 
Nederland. Zaken die een betekenisvol effect hebben op de interne markt zijn in 
elk geval niet geschikt om door de lokale autoriteit te worden afgedaan. Of 
daarvan sprake is, zal van geval tot geval moeten worden vastgesteld in het 
proces dat zich, beginnend op lokaal niveau, tussen betrokkene, 
verantwoordelijke en toezichthouder afspeelt. Elk van die partijen kan tot de 
conclusie komen dat de aard van de zaak het lokaal niveau ontstijgt. De 
toezichthouder kan ambtshalve besluiten het consistentiemehanisme of de EDPB 
in te schakelen. De betrokkene of de verantwoordelijke kunnen daarom zelf 
verzoeken, of dat vis de lead authority doen. Als daarvan geen sprake is, en de 
geografische herkomst van klachten ook niet tot een andere conclusie leidt, kan 
de lokale autoriteit de zaak tot zich nemen. De lokale autoriteit zou dat wel 
eigener beweging moeten melden aan de lead authority en de toepassing van 
formele bevoegdheden, geregeld in de verordening zou niet zonder voorafgaand 
overleg met de lead authority moeten plaatsvinden. 

De tweede vraag is of de aard van de bevoegdheden van de toezichthouders 
aanleiding is om de uitoefening daarvan uitsluitend op lokaal niveau te laten 
plaatsvinden. Nederland vindt dat het accent moet liggen op samenwerking 
tussen de nationale toezichthouders en de wijze van samenwerking in plaats van 
het maken van verschil bij de uitoefening van de bevoegdheden. 

Erkend moet wel worden dat bevoegdheden als het zich toegang moeten 
verschaffen tot bepaalde plaatsen een lokale toepassing de enige mogelijkheid is. 
Het optreden met dergelijke bevoegdheden op het grondgebied van een andere 
lidstaat is een brug te ver. Bij bevoegdheden als het geven van een voorafgaande 
instemming door de toezichthouder ligt het anders. Daar moeten beslissingen van 
de lead authority zonder meer EU-breed worden toegepast. Bij de toepassing van 
bestuurlijke sancties stelt Nederland dat de inning van boetes en het verbeuren 
van dwangsommen in andere lidstaten nog lastig is. Om praktische redenen ligt 
het dan voor de hand de uitoefening van die bevoegdheden door de lead authority 
te laten plaatsvinden. De boete of dwangsom wordt dan aan de hoofdvestiging 
opgelegd en de verantwoordelijke kan dan zelf beslissen hoe dit binnen de eigen 
organisatie wordt opgelost. Daarbij moet niet teveel afhangen van het 
ondernemingsrecht van de lidstaten. Bij de wijze van samenwerking is 
stilzwijgende instemming, zoals voorgesteld door een van de grote lidstaten zeker 
een goede oplossing om bureaucratie zoveel mogelijk te vermijden. Nederland is 
geen voorstander van het drastisch uitbreiden van het vragen van voorafgaande 
toestemming voor bepaalde groepen verwerkingen. 
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Dit leidt tot een te zware belasting van de nationale toezichthouders en gaat ten 
kosten van de handhavingscapaciteit van de toezichthouders. Het vergroot de 
administratieve lasten en nalevingskosten bij het bedrijfsleven. 
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De derde vraag is hoe geschillen tussen toezichthouders onderling over relatieve 
competentie en de keuze voor de toepassing van bevoegdheden het beste kunnen 
worden opgelost. Nederland is van mening dat de rechtszekerheid het meest is 
gebaat bij de toeleiding van een geschil aan één rechtsstelsel. Het zoeken naar 
consensus tussen de betrokken toezichthouders is het beste model. Volgens 
Nederland werkt dat nu ook al redelijk bij de goedkeuring van bindende 
bedrijfsvoorschriften. Nederland wil liever uitgaan van samenwerking tussen de 
toezichthouders en niet van een conflictmodel. Nederland is voor een sterke lead 
authority die besluiten kan nemen die ook gelden in andere lidstaten. Het is dan 
wel belangrijk dat de lead authority de andere toezichthouders tijdig betrekt in de 
voorbereiding van de besluiten. Nederland denkt verder in dit kader aan 
stilzwijgende toestemming. Bij sanctietoepassing is onderlinge samenwerking ook 
het belangrijkste uitgangspunt. Nederland kan ook instemmen met een rol voor 
de lokale toezichthouder waarbij de laatste voorstellen doet voor besluiten in 
zaken. Nederland merkt daarbij op dat de handhaving niet altijd naar aanleiding 
van een klacht plaatsvindt, maar dat de toezichthouder ook ambtshalve kan 
handhaven. Met betrekking tot de EDPB vindt Nederland dat de EDPB bindende 
besluiten moet kunnen nemen. Daar blijkt echter weinig steun voor te vinden. Als 
alternatief moet er dan maar voor een overlegstructuur in de EDPB worden 
gekozen met een beslissingsprocedure bij gewone meerderheid. De vraag is nog 
of alleen competentie- of ook inhoudsvraagstukken ook onderdeel van deze 
procedure binnen de EDPB moeten zijn. Nederland voelt weinig van de opt-out 
optie van een van de grote lidstaten. Wanneer toezichthouders zich kunnen 
onttrekken aan een gezamenlijk stelsel van besluitvorming leidt dit tot 
rechtsonzekerheid en ondermijnt dit de noodzaak tot nadere harmonisatie binnen 
de EU. 
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De vierde vraag betreft de bevoegdheid van de rechter in de EU. Het gaat daarbij 
in het bijzonder om de vraag of een rechterlijke uitspraak naar aanleiding van een 
besluit van een toezichthouder ook gelding in een andere lidstaat moet hebben of 
dat er hulpconstructies moeten komen om mogelijk te maken dat elke betrokkene 
altijd in zijn eigen lidstaat terecht kan bij de rechter van zijn keuze. Nederland is 
van mening dat er geen competentie is voor een rechter om besluiten van 
toezichthouders uit andere lidstaten te beoordelen. Nederland is geen voorstander 
van doorverwijzing door een rechter of van een vorm van adoptie van een besluit 
van een toezichthouder uit een andere lidstaat. Nederland is van oordeel dat een 
geschil aan één rechtsstelsel moet worden toebedeeld. Alle afwijkingen hiervan 
brengen de harmonisatie binnen de EU in gevaar. De lidstaten moeten volgens 
Nederland aanvaarden dat het "nabijheidbeginsel" begrenzingen kent. Het is niet 
mogelijk om enerzijds een geschil aan één rechtsstelsel toe te leiden en daardoor 
de harmonisatie te bevorderen en tegelijkertijd te aanvaarden dat 
belanghebbenden omwille van de nabijheid een beslissing voor elke rechter in de 
EU moet kunnen aanvechten. En zelfs wanneer die keuzes worden gemaakt is het 
al ingewikkeld genoeg. Parallelle civiele en administratieve procedures kunnen 
niet worden voorkomen. En het kan evenmin worden uitgesloten dat een 
buitenlandse toezichthouder Nederland gaat procederen tegen besluiten van 
Nederlandse toezichthouders. 



Na de behandeling van deze vier vraagpunten wordt de beraadslaging over de 
coördinatie van de onderhandelingen over Verdrag nr. 108 hervat aan de hand 
van een door de Commissie opgesteld document. 



Pagina 6 van 20 



De Commissie zal voorbehouden plaatsen bij de bepalingen uit het 
conceptverdrag die inhoudelijk afwijken van de verordening. Enkele lidstaten, 
waaronder Nederland, maken nog een aanvullend voorbehoud met het oog op de 
nationale veiligheid. De onderhandelingen in Straatsburg zijn daarmee voldoende 
voorbereid. Wel wordt afgesproken in de Raadswerkgroep ruim voordat de 
volgende onderhandelingsronde in Straatsburg plaatsheeft, opnieuw met de 
Commissie af te stemmen. 

Raadswerkgroep 20 november 2013 

In deze raadswerkgroep wordt aan de hand van een nieuw document van het 
voorzitterschap de discussie over het onestopshop-beginsel voortgezet. Nederland 
kijkt met een positieve blik naar het document, omdat het daarin een aantal 
elementen herkent die Nederland als zeer wezenlijk beschouwt voor het welslagen 
van de onestopshop. Nederland ziet dat als vooruitgang. 

Voorgesteld wordt om de bevoegdheid van de toezichthouder bij 
grensoverschrijdende zaken te creëren voor gevallen wanneer er hetzij een 
vestiging van de verantwoordelijke op het grondgebied van de desbetreffende 
lidstaat is, hetzij sprake is van de verwerking van gegevens die vanuit een andere 
lidstaat plaatsvindt en waarbij sprake is van het in aanmerkelijk mate geraakt 
worden van betrokkenen dat zich op het grondgebied van de lidstaat bevindt. 
Daarnaast blijft de uitsluitende competentie van de toezichthouder van de 
desbetreffende lidstaat gehandhaafd voor verwerkingen binnen de publieke 
sector. 

Nederland heeft vragen bij het voorgestelde criterium "in aanmerkelijke mate 
geraakt worden". Nederland kan zich dit criterium voorstellen bij zaken waarvan 
de verwerking buiten de EU plaatsvindt, maar de vraag is hoe dat moet worden 
ingevuld in zaken binnen de EU. Nederland vraagt of er kwantitatieve of 
kwalitatieve criteria kunnen worden gegeven om vast te stellen wanneer er 
sprake is van in aanmerkelijk mate geraakt worden. Mogelijk valt te denken aan 
een aanmerkelijk aantal betrokkenen. Verder moet worden nagedacht over de 
vraag hoe wordt vastgesteld of aan het criterium wordt voldaan. Misschien moet 
gedacht worden aan de aard van de binnengekomen klachten, misschien kan de 
verantwoordelijke een rol spelen, of misschien kan de toezichthouder dit 
ambtshalve onderzoeken. Nederland vindt dit nader moet worden ingevuld en 
doet daarom deze suggesties. Het is noodzakelijk verder te werken en heldere 
criteria in wetgeving neer te leggen om te voorkomen dat toezichthouders 
onevenredig veel tijd kwijt zijn aan competentiekwesties. 

Nederland is verontrust over het voorstel om de toezichthouder van de 
hoofdvestiging alleen gecoördineerd bevoegdheden uit laten oefenen wanneer het 
sanctionerende bevoegdheden betreft. Dat acht Nederland niet in 
overeenstemming met een goede uitoefening van het onestopshop-beginsel. 
Zaken die lokaal kunnen worden afgedaan moeten ook lokaal worden afgedaan, 
maar wanneer een zaak eenmaal door de toezichthouder van de hoofdvestiging 
moet worden afgedaan, moet deze een volledig arsenaal aan sancties ter 
beschikking hebben. Omgekeerd ligt het ook voor de hand dat wanneer een zaak 
lokaal wordt afgedaan de lokale toezichthouder de toezichthouder van de 
hoofdvestiging informeert over de ondernomen actie. 
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Verder staat Nederland niet positief ten opzichte van door andere lidstaten naar 
voren gebrachte gedachten om de toezichthouders veel vaker in staat te stellen 
voorafgaand goedkeurende verklaringen te laten afleggen over concrete 
verwerkingen. Voorafgaande goedkeuringen verschaffen een bepaalde mate van 
rechtszekerheid, maar zijn momentopnamen en verhogen ook de administratieve 
lasten. Verder kunnen deze goedkeuringen het latere nalevingstoezicht 
compliceren. 

Rechtsbescherming tegen besluiten van toezichthouders moet - uiteraard - 
worden toebedeeld aan de rechter van de lidstaat waar de toezichthouder is 
gevestigd. In het stelsel dat het voorzitterschap voor ogen staat is het mogelijk 
dat verschillende besluiten door verschillende toezichthouders genomen worden, 
juist in zaken waarin een centrale afdoening door middel van een toezichthouder 
in de lidstaat waar de hoofdvestiging van de verantwoordelijke zich bevindt 
volgens de regels van de verordening is aangewezen. Immers, de toezichthouder 
van de lokale vestiging kan de verantwoordelijke een last onder dwangsom 
opleggen om een verwerking in strijd met de verordening te staken, terwijl 
achteraf een boete zou kunnen worden opgelegd in dezelfde zaak door een 
andere toezichthouder. Als deze lijn wordt gevolgd blijft er van onestopshop- 
beginsel niet veel meer over. Hierbij moet bedacht worden dat er bij gebreke aan 
voldoende steun in de Raad voor de gedachte dat de European Data Protection 
Board voor de leden bindende besluiten kan nemen over de competentie, hoe dan 
ook aanvaard moet worden dat bij eventuele fundamentele meningsverschillen 
tussen toezichthouders die onoverbrugbaar blijken ook toezichthouders het recht 
hebben eikaars besluiten aan te vechten voor de toezichthouder van de lidstaat 
die het betreft. Dat kan niet worden uitgesloten. Ook het Nederlands 
bestuursrecht sluit dit niet uit. 
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Veel meer consensus bestaat er over de mogelijkheid van het aanvaarden van 
competentie van de burgerlijke rechter (en waar relevant, de bestuursrechter) in 
zaken waarin de betrokkene de verantwoordelijke of bewerker rechtstreeks in 
rechte aanspreekt. Voor zover deze geschillen civielrechtelijk van aard zijn 
bestaat er consensus over de toepasselijkheid van verordening (EG) nr. 44/2001 
(Brussel I) op deze geschillen. De verordening geeft de betrokkene dan het 
keuzerecht het geschil voor te leggen aan de rechter van de plaats van 
hoofdverblijf of de rechter van de plaats van vestiging van de verantwoordelijke. 
Evenzo legt men zich neer bij de mogelijkheid dat er parallelle procedures of zelfs 
uiteenlopende uitspraken van verschillende rechters in de EU kunnen ontstaan. Er 
zal op moeten worden vertrouwd dat de rechter dan het geschil naar het Hof van 
Justitie van de EU doorverwijst. 



Na deze raadswerkgroep is gebleken dat de inzichten van de lidstaten over 
reikwijdte en inrichting van de onestopshop-regel zeer uiteenlopen. Een aantal 
grote lidstaten wil de onestopshop-regel zo beperkt mogelijk houden, omdat zij 
van oordeel zijn dat de belangen van het bedrijfsleven bij de eenvormige uitleg en 
toepassing van de verordening met zo min mogelijk administratieve lasten niet 
opwegen tegen het belang om de burger de mogelijkheid te bieden altijd de 
toezichthouder en de rechter van de thuisstaat competent te verklaren. Daar 
tegenover staan lidstaten die de onestopshop-regel een essentieel onderdeel van 
de verordening achten, zonder welke het hele idee van een verordening met 
eenvormige regels sterk aan betekenis verliest. Er moet dan zonodig 
grensoverschrijdend kunnen worden besloten. Die gedachte ondervindt weer 
principiële weerstand van lidstaten die het met hun grondwet onverenigbaar 
achten dat toezichthouders uit een andere lidstaat besluiten kunnen nemen die 
hun burgers raken. Er is op deze werkgroep dan ook geen overeenstemming 
bereikt. 
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De Commissie verzorgt tot slot een terugkoppeling over de onderhandelingen 
over Verdrag nr. 108. 

Vervolgbijeenkomsten 

Op 25 november 2013 en op 2 december 2013 is in kleiner verband 
(vertegenwoordigers van de permanente vertegenwoordiging van alle lidstaten) 
aan de hand van nieuwe voorstellen van het Voorzitterschap bezien of een 
compromis binnen bereik lag. Een compromis is in elk geval niet bereikbaar 
gebleken op een omvangrijk pakket artikelen waarin een van de voorstellen van 
het Voorzitterschap was uitgewerkt. Dit betrof een voorstel dat Nederland, net 
zoals alle andere lidstaten op twee na, en zelfs de Commissie, niet meer voor 
bespreking geschikt achtte. In dat voorstel was de onestopshop-regel zodanig 
verwaterd is ten gunste van het nabijheidsbeginsel, dat een eenvormige uitleg 
van de verordening door de samenwerkende toezichthouders niet meer 
gegarandeerd was. Er moet een redelijk garantie zijn voor een dergelijk uitleg. 
Komt deze er niet, dan is de vraag gerechtvaardigd hoeveel toegevoegde waarde 
een verordening nog heeft. In het licht van deze krachtsverhoudingen probeert 
het Voorzitterschap om overeenstemming te bereiken op enkele zeer algemeen 
geformuleerde uitgangspunten voor de onderlinge samenwerking tussen de 
toezichthouders. 

Analyse Juridische Dienst van de Raad 

In het algemeen overleg over de JBZ Raad op 4 december 2013 heb ik de Kamer 
meegedeeld dat in avond van 3 december 2013 de Juridische Dienst van de Raad 
een juridische analyse van de voorstellen van het Voorzitterschap en de 
Commissie tot uitwerking van het onestopshop mechanisme aan het Coreper is 
overgelegd. Dit document treft u bijgaand ter vertrouwelijke kennisneming aan. 

De analyse komt erop neer dat alle tot dusverre gepresenteerde varianten van 
het onestopshop beginsel zodanig gecompliceerd zijn dat een effectieve 
rechtsbescherming van de burger in het licht van de eisen die het Hof van Justitie 
van de EU en het Europese Hof voor de Rechten van de Mens stellen, 
onvoldoende is verzekerd. De Juridische Dienst is van oordeel dat nu de 
verordening beoogt om via de weg van artikel 16 VWEU uitwerking te geven aan 
het in artikel 8 van het Handvest voor de Grondrechten geregelde recht op 
bescherming van persoonsgegevens de rechten van het individu moeten 
prevaleren boven de belangen van bedrijven bij een eenvormige uitleg en het 
hebben van een vast contactpunt bij één handhavingsinstantie in 
grensoverschrijdende zaken. De verordening heeft volgens de Juridische Dienst 
geen internemarktdoelstelling. In dat kader betoogt de Juridische Dienst dat het 
grondrecht op bescherming van persoonsgegevens onvoldoende wordt 
gewaarborgd, omdat uit de artikelen 47 en 52, derde lid, van het Handvest en de 
artikelen 8 en 13 van het Europees Verdrag voor de Rechten van de Mens en de 
fundamentele vrijheden (EVRM) een recht op een doeltreffende voorziening in 
rechte om de naleving van grondrechten te kunnen verzekeren en aan dat 
vereiste niet is voldaan. Alle voorstellen voor de onestopshop-regels voorzagen in 
de mogelijkheid dat een toezichthouder van een andere lidstaat dan die van de 
betrokkene besluiten zou kunnen nemen. Die besluiten zijn alleen vatbaar voor 
een rechterlijke voorziening in de desbetreffende lidstaat. Het zou dus kunnen 
voorkomen dat een burger zich tot de rechter van een andere lidstaat zou moeten 
wenden. 
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Ook voorzien de oplossingen alle in de mogelijkheid van parallelle procedures 
over dezelfde zaak, niet alleen in verschillende lidstaten, maar ook binnen één 
lidstaat voor, respectievelijk, de burgerlijke rechter in geschillen tussen 
betrokkenen en verantwoordelijken, en de bestuursrechter in geschillen tussen 
belanghebbenden en toezichthouders. De Juridische Dienst merkt dit alles aan als 
strijdig met het Handvest voor de Grondrechten en het EVRM, omdat de 
complicaties van dit stelsel van rechtsbescherming evident niet als doeltreffend 
kunnen worden aangemerkt. Om aan de bezwaren tegemoet te komen suggereert 
de Juridische Dienst dat het nalevingstoezicht en de handhaving in alle 
grensoverschrijdende zaken zou moeten worden opgedragen aan de European 
Data Protection Board. Uit artikel 263 VWEU volgt immers dat tegen bindende 
besluiten van de EDPB beroep op het Gerecht en hoger beroep op het Hof van 
Justitie van de Europese Unie openstaat. Daarbij maakt de Juridische Dienst 
bovendien nog de kanttekening dat een dergelijke toezichthouder zal moeten 
voldoen aan een aantal criteria van institutionele aard die beperkingen leggen aan 
de mogelijkheid tot het instellen van agentschappen. Zo kan dit alleen wanneer 
de EDPB met een beperkte, nauw omschreven taak wordt uitgerust. Ook moet er 
dan volgens de interne EU-regels een regeling voor de financiering worden 
getroffen. 
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Dit is een analyse met vérstrekkende consequenties voor de oplossingsrichting. 
Zou de analyse worden onderschreven dan zijn er in de visie van de Juridische 
Dienst eigenlijk twee mogelijkheden open voor de handhaving van de 
verordening. De eerste is dat de bestaande situatie in stand blijft. Er zijn dan 27 
toezichthouders in de alle lidstaten, met uitzondering van Duitsland, en in 
Duitsland nog eens 17 toezichthouders. Die moeten dan op basis van de nationaal 
geregelde bevoegdheden samenwerken om de materiële bepalingen van de 
verordening gezamenlijk eenvormig uit te leggen. Daarbij moet ervan worden 
uitgegaan dat de regeling van de territoriale reikwijdte van de verordening 
integraal wordt herzien. De tweede is één Europese toezichthouder voor alle 
dataprotectiezaken met een grensoverschrijdend effect. Om hoeveel zaken het 
zou gaan is onbekend, dit valt helaas niet te overzien. Het komt er wel op neer 
dat er dan één toezichthouder komt voor de belangen van 500 miljoen burgers. 
Nog los van de institutionele bezwaren - die naar mijn mening kunnen worden 
opgelost als de wil daartoe aanwezig is - acht ik dit een evident onuitvoerbaar 
idee. De afstand van de burger tot een dergelijke toezichthouder is te groot. De 
eerste oplossingsrichting komt er eigenlijk op neer dat de verordening niet op een 
overtuigende manier eenvormig kan worden toegepast, uitgelegd en 
gehandhaafd. De tweede oplossingsrichting roept uitvoerbaarheidsproblemen op. 
Daarmee stelt de Juridische Dienst, zonder het expliciet te zeggen, de 
instrumentkeuze fundamenteel ter discussie. 



Ik ben van oordeel dat deze analyse te laat is uitgebracht. De analyse is beslist 
relevant om besproken te worden, maar dat had aan het begin van het 
onderhandelingsproces moeten gebeuren. Daar komt nog bij dat de Juridische 
Dienst deze analyse niet op verzoek van de Raad, maar eigener beweging heeft 
opgesteld op een moeilijk moment in de onderhandelingen. Het 
onderhandelingsproces wordt daardoor niet bevorderd. Inhoudelijk vallen er bij 
het advies kanttekeningen te plaatsen. Zo is het de vraag of eventuele uitbreiding 
van de rechtsgrondslag van de verordening met artikel 114 VWEU (harmonisatie 
van de wetgeving van de lidstaten ter vervolmaking van de interne markt) 
wellicht tot andere gezichtspunten leidt. Ook is het de vraag of de analyse nu 
werkelijk dwingt tot de twee oplossingsmogelijkheden, of dat er andere wegen te 
bedenken zijn. 
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JBZ Raad 5 en 6 december 2013 



De analyse van de Juridische Dienst van de Raad is op de Raadsvergadering van 6 
december 2013 besproken. De Commissie heeft het "politieke" advies van de 
Juridische Dienst bestudeerd en kan niet instemmen met de strekking. 

Daarbij heeft de Juridische Dienst van de Commissie de gelegenheid gehad voor 
een weerwoord. Deze dienst plaatst de voorstellen van Commissie en 
Voorzitterschap in een andere context. Bij geschillen tussen verantwoordelijken 
en betrokkenen kan de betrokken hoe dan ook naar de rechter in eigen land. 
Alleen bij geschillen tussen belanghebbende en toezichthouder kan er soms een 
noodzaak zijn de rechter in een andere lidstaat aan te spreken. Er wordt op 
gewezen dat dit geen uitzondering is in het EU-recht. Vetrekpunt van redeneren is 
dat alle rechters in de EU in staat zijn om een "effective judicial redress" in de zin 
van art. 47 van het Handvest te bieden en er geen hiërarchie tussen de gerechten 
en lidstaten is. De Juridische Dienst van de Commissie wijst op de mogelijkheden 
van digitaal procederen die de kunnen helpen de afstand te overbruggen en op de 
noodzaak van deskundige juridische bijstand. En de afstand speelt ook bij 
oplossing van de Juridische Dienst van de Raad, omdat de burgers van Europa 
dan naar Luxemburg moeten. De Juridische Dienst van de Commissie meent dan 
ook dat de rechtsgrondslag van art. 16 VWEU ook in het licht van het Handvest 
voor de Grondrechten de juiste keuze is geweest. 

Niettemin heeft de analyse van de Juridische Dienst van de Raad de discussie 
diepgaand beïnvloed. Er bestaan diepgaande verschillen van mening tussen 
groepen van lidstaten over de inrichting van het onestopshop-systeem. Door de 
analyse op een laat ogenblik en op een hoog niveau uit te brengen zijn die 
verschillen van inzicht eerder bevestigd en verstrekt dan overbrugd. Het 
Voorzitterschap is er dan ook zelfs niet in geslaagd de Raad een richtinggevende 
uitspraak te laten doen op de vragen of de toezichthouder van de lidstaat van de 
hoofdvestiging van een onderneming exclusieve sanctionerende bevoegdheden 
moet krijgen, en of de EDPB onder bepaalde omstandigheden bindende 
beslissingen moet kunnen nemen. Nederland heeft op beide vragen bevestigend 
geantwoord. Een geheel of gedeeltelijk akkoord op hoofdlijnen dat de Raad in 
staat zou stellen met het Europees Parlement de triloog aan te gaan ligt voorlopig 
niet binnen bereik. De Kamer ontvangt overigens de normale verslaggeving van 
de JBZ Raad zodra deze gereed is. 

Europees Parlement 

Na indiening van de voorstellen voor de ontwerpverordening en de 
ontwerprichtlijn hebben de leden van het Europees Parlement amendementen 
voorgesteld op beide instrumenten. Op de ontwerpverordening zijn 3133 
amendementen ingediend. Op de ontwerprichtlijn ruim 2000. Een absoluut record 
in de Europese wetgevingsgeschiedenis. Deze amendementen zijn in de LIBE 
Commissie van het Parlement samengebracht tot een aantal 
compromisamendementen dat correspondeert met het aantal artikelen van elk 
instrument. Op 21 oktober 2013 heeft de LIBE Commissie over deze 
amendementen gestemd. Alle compromisamendementen zijn aangenomen. 
Hieronder treft u groepsgewijs de belangrijkste amendementen benoemd en een 
eerste beoordeling daarvan van mijn kant. Ik wijs erop dat het Europees 
Parlement in plenaire zitting nog niet heeft gestemd over de geamendeerde 
voorstellen. 
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Amendementen op de ontwerpverordening 

Een algemene indruk is dat het gehele pakket als een duidelijk compromis moet 
worden gezien. Door de rapporteur - de heer Albrecht - en de leden zijn tal van 
oplossingen voorgesteld die, soms tamelijk radicaal, vooral partij kozen voor het 
datasubject. Andere leden hebben oplossingen voorgesteld waarbij de belangen 
van bedrijven meer in ogenschouw zijn genomen. Wat hoofdstuk V betreft, het 
hoofdstuk dat de grensoverschrijdende doorgiften betreft, is onder invloed van de 
NSA-affaire, verscherpt. De LIBE Commissie stelt zich op het standpunt dat 
directe doorgifte van gegevens uit de private sector naar de overheid van een 
derde land in beginsel verboden wordt, behoudens een verdrag, een wettelijke 
regeling of toestemming van de toezichthouder. 

Afzonderlijke bepalingen 

Uitzondering voor persoonlijke en huishoudelijke doeleinden (artikel 2) 

Evenals de huidige richtlijn is de verordening niet van toepassing op 
gegevensverwerkingen voor persoonlijke en huishoudelijk doeleinden. Deze 
uitzondering wordt uitgebreid met publicaties waarvan het de redelijke 
verwachting is dat deze slechts bij een beperkt publiek onder ogen komen. Voor 
de praktijk van de sociale media is dit een belangrijke tegemoetkoming. Ik sta 
hier in beginsel positief tegenover. 

Uitzondering voor opsporing en vervolging (artikel 2) 

De verordening is ook in de visie van de LIBE Commissie niet van toepassing op 
gegevensverwerking voor strafrechtelijke doeleinden. Voor de politie betekent dit 
dat de richtlijn uitsluitend van toepassing is op de strafrechtelijke handhaving van 
de rechtsorde, maar dat de openbare ordetaken en de hulpverleningstaken van de 
politie onder de verordening vallen. Dat geldt ook voor een deel van de "taken ten 
dienste van de justitie" en de handhaving van bestuursrechtelijke wetgeving 
waarmee de politie is belast, zoals Vreemdelingenwet 2000 en de Wet wapens en 
munitie. De politie wordt dus met twee regimes voor gegevensbescherming 
geconfronteerd. Nederland heeft dat altijd als een potentieel risico aangemerkt. 
Twee verschillende gegevensbeschermingsregimes verhoogt de bestuurlijke lasten 
en compliceert de ICT van de politie potentieel. 

Territoriale reikwijdte (artikel 3) 

De verordening gaat in de visie van de LIBE Commissie ook gelden wanneer de 
feitelijke gegevensverwerking buiten de EU plaatsvindt door verantwoordelijken 
die overigens in de EU zijn gevestigd. Hier wordt extraterritoriale rechtsmacht 
gevestigd. Dit amendement moet vooral worden gezien tegen de achtergrond van 
de NSA-affaire. De LIBE Commissie beoogt het EU-recht ook integraal te laten 
gelden voor buiten de EU verrichte gegevensverwerkingen die een 
aanknopingspunt hebben met burgers in de EU. Hoewel ik dit amendement 
verklaarbaar acht, vraag ik mij wel af of het verstandig is. Noch de EU, noch de 
lidstaten hebben rechtsmacht buiten hun territoir voor zover het internationaal 
recht daarvoor geen voorziening biedt. De handhaving van dergelijke regels 
buiten het territoir van de EU is dan ook een principieel probleem. Aan 
symboolwetgeving heb ik geen behoefte. 
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Begrippen (artikel 4) 

Het begrip "persoonsgegeven" wordt door de LIBE Commissie uitgebreid met 
enkele elementen als locatiedata en genetische gegevens. Daardoor vallen er 
meer gegevens binnen de reikwijdte van de verordening. Ik sta daar positief 
tegenover. 

Algemene beginselen (artikel 5) 

In dit artikel wordt door de LIBE Commissie helaas geen duidelijkheid geboden 
over de vraag wanneer er sprake is van "verenigbaar gebruik", dat is het gebruik 
van gegevens voor andere doeleinden dan waarvoor zij zijn verzameld. Die 
duidelijkheid is van groot belang voor de mogelijkheid van het delen van 
gegevens in de veiligheidssector, maar ook in de private sector. Bedrijfsleven en 
overheid moeten hier voor rechtsonzekerheid vrezen wanneer het verenigbaar 
gebruik niet nader wordt gereguleerd. In de Raad heeft Nederland daarvoor 
voorstellen gedaan. Het is een gemiste kans van de LIBE Commissie dit punt te 
laten liggen. 

Rechtvaardigingsgronden (artikel 6) 

Verwerking van persoonsgegevens op grond van het gerechtvaardigd belang van 
de verantwoordelijke is - anders dan in eerdere plannen van de rapporteur -nu 
wel mogelijk op dezelfde wijze als onder huidige richtlijn. Het bedrijfsleven zal 
hier, naar ik verwacht, mee uit de voeten kunnen. 
Verwerking van gegevens in de publieke sector - op grond van wettelijk 
voorschriften of algemene taakopdracht - is in de visie van de LIBE Commissie 
alleen mogelijk op grond van allerlei inhoudelijke eisen gesteld aan de wetgever 
van de lidstaten. Ik acht het misplaatst dat de EU enerzijds vrijheid wil laten aan 
de wetgever van de lidstaten, maar anderzijds die vrijheid inhoudelijk beperkt. Er 
kan van worden uitgegaan dat die eisen beperkend worden uitgelegd door het Hof 
van Justitie van de EU. Dit zal grote invloed gaan hebben op de verwerking voor 
overheidsdoeleinden. Ik wijs dit standpunt dan ook af. 

Toestemming betrokkene (artikel 7) 

De LIBE Commissie stelt strenge eisen aan toestemming van de betrokkene. Er 
mag alleen expliciete toestemming worden gevraagd. Het bedrijfsleven vreest hier 
voor lasten. Ik onderken het grote belang van toestemming voor de praktijk van 
de gegevensbescherming, maar betwijfel of expliciete toestemming in alle 
gevallen gerechtvaardigd is in verband met de nalevingskosten. 

Bescherming minderjarigen (artikel 8) 

De LIBE Commissie legt de drempelleeftijd voor het uitoefenen van eigen rechten 
op 13 jaar. Dat is jonger dan de in Nederland gehanteerde leeftijd van 16 jaar. 
Met de keuze wil de LIBE Commissie aansluiting zoeken aan de leeftijdsgrens 
gehanteerd in de Children's Online Privacy Protection Act van de VS. Die wet is 
van toepassing op de sociale media die vanuit de VS worden geëxploiteerd. Ik 
acht die keuze van de LIBE Commissie verstandig. Een hogere leeftijdsgrens sluit 
niet meer aan op hetgeen onder jongeren inmiddels volstrekt gemeengoed is 
geworden. De handhaving van een hogere leeftijdsgrens acht ik illusoir, nog 
daargelaten dat werkelijk betrouwbare controles op leeftijd, identiteit en de 
aanwezigheid van ouderlijke toestemming online niet bestaan. 
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Bijzondere persoonsgegeven (artikel 9) 

De verwerking van gezondheidsgegevens en strafrechtelijke gegevens wordt door 
de LIBE Commissie aan wettelijke grondslagen gebonden. Over de andere 
bijzondere persoonsgegevens zwijgt de Commissie. Het is dus de vraag in 
hoeverre de gestelde eisen toelaten dat alle huidige grondslagen in de Wet 
bescherming persoonsgegevens en in vele bijzondere wetten wel kunnen blijven 
bestaan. Het compromis biedt daarvoor aanknopingspunten, maar de onzekerheid 
over de reikwijdte daarvan is nog groot. Dit moet wat mij betreft worden 
verduidelijkt. 

Administratieve lasten en nalevingskosten bedrijven (artikel 14 en 22- 39) 

Alle verplichtingen voor verantwoordelijken gelden in beginsel voor alle 
verantwoordelijken. Van Google tot en met de bakker op de hoek bij wie online 
brood en banket kan worden besteld. Dit geldt in elk geval voor de verplichting 
informatie te verschaffen aan betrokkenen over de doeleinden van 
gegevensverwerking. Er is iets meer eigen verantwoordelijkheid mogelijk bij de 
invulling van de documentatieplicht en de beveiligingsplicht. De meldplicht 
datalekken kent geen enkele beperking. Een risicoanalyse moet eerst worden 
gemaakt, voordat (dus niet: nadat) een privacyeffectbeoordeling wordt gemaakt, 
en die beoordeling moet bovendien iedere twee jaar worden herhaald. De 
risicoanalyse is onder meer nodig bij een verwerking die meer dan 5000 
betrokkenen telt. Die laatste grens is ook de grens waarboven bedrijven en 
overheidsinstellingen verplicht zijn een privacyfunctionaris aan te stellen. 
Het pakket verplichtingen dat de LIBE Commissie heeft aanvaard staat nog erg 
ver af van hetgeen mij voor ogen staat bij een risico-georiënteerde benadering. 
Het bedrijfsleven is in elk geval zeer bezorgd over. Het acht de grens van 5000 
betrokkenen grens onmogelijk uitvoerbaar. Ik deel dit standpunt. Ik verwijs u 
terzake naar mijn brief van 21 juni 2013 (Kamerstukken II 2012/13, 32 761, nr. 
50) en het daarop gevolgde schriftelijk overleg (Kamerstukken II 2013/14, 32 
761, nr. 53) 

Rechten betrokkene (artikelen 15 - 20) 

De LIBE Commissie heeft ingrijpende wijzigingen aangebracht in het voorstel. 
Dataportabiliteit wordt een onderdeel van het recht op inzage. De Commissie 
heeft het recht om te worden vergeten als zelfstandig recht geschrapt. In plaats 
daarvan wordt het recht om gegevens te wissen uitgebreid. Het recht op verzet 
wordt uitgebreid met aparte bepalingen tegen commerciële profilering. Het geheel 
biedt een evenwichtige aanblik. Dit biedt beslist perspectief voor de verdere 
onderhandelingen. 

Beperkingen op rechten voor de overheid (artikel 21) 

De lijst van toegelaten beperkingen op de rechten van de betrokkene op 
informatie en inzage ten behoeve van de strafvordering, het nalevingstoezicht en 
andere overheidsbelangen verschilt niet veel van de huidige lijst. Echter, die 
beperkingen moeten bij nationale wet worden vastgesteld. De LIBE Commissie 
stelt net als de Commissie, aan de nationale wetgever vervolgens allerlei 
inhoudelijk beperkingen en toetsingsvoorschriften. Die voorschriften zijn zo streng 
dat vermoedelijk niet meer kan worden volstaan met een algemeen 
geformuleerde uitzondering, zoals die nu nog in de Wet bescherming 
persoonsgegevens is opgenomen. Het is blijkbaar de bedoeling dat een toetsing 
plaatsvindt op het niveau van iedere afzonderlijke wet. Dit acht ik nauwelijks 
uitvoerbaar. 
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Het is bovendien de vraag of voor de vele verwerkingen in de overheidssfeer 
waarvoor nu geen expliciete wettelijke grondslag bestaat een meer algemeen 
geformuleerde beperking op de informatieplicht en het inzagerecht wel volstaat in 
het licht van die strenge eisen. Die verhoogt de druk op de wetgever aanzienlijk. 

Doorgiften aan derde landen (artikelen 40 - 45a) 

In het hoofdstuk over doorgiften aan derde landen wordt een verbod gelegd op 
doorgiften van gegevens aan derde landen, wanneer daartoe een verplichting 
krachtens eenzijdig buitenlands recht bestaat, in de vorm van een wettelijke 
verplichting of rechterlijk bevel. Uitzondering op dat verbod is alleen mogelijk 
wanneer daarvoor een verdragsrechtelijke grondslag bestaat, of wanneer de 
toezichthouder daarvoor expliciet toestemming verleent. Bedrijven die met een 
vordering uit het buitenland worden geconfronteerd, hebben een aangifteplicht. 
Als toetsingscriteria bij toestemmingsverlening gelden "noodzaak" en een 
"zwaarwegend maatschappelijk belang". Dat laatste belang moet zijn erkend in 
het EU-recht of het nationale recht. 

Het wordt buitenlandse overheden hiermee nagenoeg onmogelijk gemaakt om 
nog gegevens rechtstreeks te kunnen vorderen bij bedrijven op grond van eigen 
wetgeving of ter uitvoering van rechterlijke bevelen. De achtergrond van deze 
bepaling is in het licht van de NSA-affaire wel te verklaren. Maar de vraag moet 
gesteld worden of het middel dat de LIBE Commissie voorstelt wel uitvoerbaar is. 
Immers, een toezichthouder kan onmogelijk goed beoordelen of er een noodzaak 
tot doorgifte bestaat: die noodzaak wordt elders vastgesteld, en als het gaat om 
nationale veiligheid van een derde land, valt er doorgaans weinig af te wegen. Dat 
kan een toezichthouder bijna per definitie niet beoordelen. 
Daar komt bij dat het bedrijfsleven hier het slachtoffer blijft van de nu al 
bestaande jurisdictieconflicten: men blijft gevangen tussen een vordering uit het 
buitenland en een verbod uit de EU. Ik acht het een verplichting van wetgevers 
om deze jurisdictieconflicten op te lossen. Niet om ze in stand te laten. De inzet 
van de LIBE Commissie is de druk op het Amerikaanse bedrijfsleven te verhogen 
om zodoende indirect de Amerikaanse wetgever tot concessies te bewegen op 
het gebied van de inlichtingendiensten. Het is zeer de vraag of het aannemen van 
wetgeving dat doel dichterbij brengt. Dit vereist een oplossing op politiek niveau. 

Toezicht, handhaving en samenwerking tussen toezichthouders (artikel 46-71) 

Het is opvallend dat een onderwerp dat bij de Raad zoveel discussie oplevert, 
door de LIBE Commissie zonder veel omhaal wordt afgedaan. Opvallend in dit 
geheel is dat de LIBE Commissie bij onenigheden tussen toezichthouders 
onderling over de aanpak van een zaak de European Data Protection Board 
(EDPB) bindend over de competentie én de inzet van bevoegdheden in een 
concrete zaak wil laten beslissen. Een duidelijk uitgangspunt, dat ik graag 
ondersteun. Dat moet echter nog wel worden uitgewerkt om in overeenstemming 
met het EU-recht te worden gebracht. De EDPB moet dan rechtspersoonlijkheid 
krijgen en een eigen agentschap worden. Dit standpunt wordt niet gedeeld door 
de Commissie. 
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Rechtsmiddelen, schadevergoeding en sancties (artikel 72-79) 

Er blijft in de amendementen van LIBE Commissie onduidelijkheid bestaan over 
de vraag of er naast de bestuurlijke boetes ook een verplichting bestaat om 
overtredingen van de verordening in het nationale recht strafbaar te stellen. 
Vraag is overigens of dat wel wenselijk is. 

De bestuurlijke boetes kennen uitzonderlijk hoge maxima. Het maximum 
bedraagt € 100 min., dan wel 5% van de wereldwijde jaaromzet op 
concernniveau, wanneer dit meer is. De boetemaxima kunnen bovendien door de 
Commissie naar boven worden bijgesteld om met de inflatie rekening te houden. 
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Ik ben voorstander van robuuste sanctionering. Het is echter zaak ook bij de 
vaststelling van boetemaxima proportioneel te zijn. Aan die eis voldoet dit 
voorstel niet. Verder ontbreekt een regeling van de inhoudelijke en procedurele 
waarborgen bij de boeteoplegging vrijwel geheel. Ik acht dit een ernstige 
tekortkoming. Tenslotte is onduidelijk of er op nationaal niveau voldoende ruimte 
is voor de wetgever om reparatoire sancties als bestuursdwang en dwangsom op 
te leggen. Dit moet worden opgelost, omdat ik geen reden zie het College 
bescherming persoonsgegevens een nuttige sanctie te onthouden die het nu bezit. 
Dit alles vergt nog de nodige onderhandelingen met het EP. 

Bijzondere verwerkingen en slotbepalingen (artikel 80 - 91) 

De verwerking van gegevens betreffende de gezondheid wordt, vooral voor 
onderzoeksdoeleinden, gebonden aan strenge eisen. Dat kan alleen met 
toestemming van de betrokkene. De onderzoekssector heeft mijn aandacht 
hiervoor gevraagd. Men toont zich hier bijzonder bezorgd over. Historische 
gegevens die in het verleden niet met uitdrukkelijke toestemming, maar op een 
andere grondslag zijn verzameld zullen niet meer bij actueel 
gezondheidsonderzoek kunnen worden betrokken. Dat is niet alleen het geval bij 
commercieel onderzoek of onderzoek van farmaceutische bedrijven naar de 
werking van geneesmiddelen, maar ook het geval bij onderzoek ten behoeve van 
de volksgezondheid ten behoeve van de hele samenleving. Het inwinnen van 
toestemming is ook voor het "echte" volksgezondheidsbelang nogal omslachtig. 
Dit vergt nadere onderhandelingen. 

De LIBE Commissie heeft een geheel nieuwe, omvangrijke regeling opgezet voor 
verwerking van gegevens in de context van de arbeidsrelatie. Het komt erop neer 
dat oude wensen van de Europese vakbonden voor een afzonderlijke richtlijn voor 
gegevensverwerking in de arbeidsrelatie grotendeels worden gehonoreerd. Ik acht 
een amendement op de verordening niet de juiste weg om te dit te regelen. Dit 
vergt een zelfstandige regeling met een behoorlijke voorbereiding, consultatie van 
belanghebbenden en een beoordeling van de economische en privacyeffecten. Het 
amendement grijpt diep in in het nationale arbeidsrecht en in de 
bedrijfshuishoudingen. Ik heb inmiddels van het bedrijfsleven begrepen dat men 
hierover grote zorgen heeft. Nederland is altijd uitgegaan van de toepasselijkheid 
van de algemene regels op de sociale sector en het arbeidsrecht. De meerwaarde 
van het amendement acht ik onvoldoende aangetoond. 

Amendementen op de ontwerprichtlijn 

In zijn algemeenheid kiest de LIBE Commissie - in navolging van rapporteur 
Droutsas - voor aanscherping van de voorgestelde regels. Voor sommige 
onderwerpen wordt nauw aangesloten bij die van de voorgestelde 
ontwerpverordening, dit betreft bijvoorbeeld de verplichting tot het uitvoeren van 
een privacy impact assessment (PIA) voorafgaande aan bepaalde 
gegevensverwerkingen en de verplichting tot het voorafgaande consulteren van 
de toezichthoudende autoriteit. De belangrijkste amendementen betreffen het 
volgende: 

De reikwijdte van de richtlijn (artikel 1) 

De LIBE Commissie sluit aan bij de toepassing van de richtlijn op de opsporing en 
vervolging van strafbare feiten. De Raad koerst aan op uitbreiding van de 
reikwijdte met de openbare orde. Dit punt lijkt wel oplosbaar. Niettemin vallen de 
hulpverlening en de taken ten dienste van justitie dan onder de Verordening. Dit 
is overigens thans ook het geval. 
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De LIBE Commissie stelt voor expliciet vast te leggen dat de richtlijn de lidstaten 
niet weerhoudt van de vaststelling van een hoger niveau van 
gegevensbescherming. Ik sta hier positief tegenover; in de raadswerkgroep heeft 
de Nederlandse delegatie een soortgelijk voorstel gedaan. 
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Begrippen (artikel 3) 

De LIBE Commissie stelt voor een omschrijving van het begrip 'profileren' op te 
nemen. Ik sta hier in beginsel positief tegenover. 
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Beginselen van gegevensverwerking (artikel 4) 

Er worden een aantal aanscherpingen voorgesteld van de beginselen voor 
gegevensverwerking. Dit betreft onder meer de proportionaliteit van de 
verwerking en de autorisatie van de personen die toegang hebben tot de 
gegevens. Ik sta hier in beginsel positief tegenover. 

Toegang tot gegevens van derden (artikel 4a) 

De LIBE Commissie stelt voor dat de toegang tot gegevens van derden wordt 
gebonden aan een specifieke autorisatie van de bevoegde autoriteit en de 
vereisten van noodzaak en proportionaliteit op grond van EU-wetgeving. Ik acht 
het van groot belang dat deze verenigbaar is met het Nederlandse systeem voor 
het vorderen van gegevens, zoals dat in het Wetboek van Strafvordering is 
vastgelegd (artikelen 126nc/ni Sv). 

Verschillende categorieën van datasubjecten (artikel 5) 

Onderscheid moet worden gemaakt in de aard van de subjecten (verdachten, 
veroordeelden, slachtoffers en derden), over wie gegevens kunnen worden 
verwerkt. Vereist is een redelijke grond voor verdenking. De woorden Voor zover 
mogelijk' worden geschrapt. Persoonsgegevens over anderen kunnen worden 
verwerkt voor de opsporing of vervolging van een specifiek strafbaar feit. Zoals 
ook in het BNC-fiche is aangegeven, acht ik een dergelijke regeling minder goed 
werkbaar. De voorgestelde regeling is minder goed toegesneden op de vervolging 
van strafbare feiten en kan de opsporing van strafbare feiten ronduit 
belemmeren. Ik ben hiervan dan ook geen voorstander. 

Onderscheid in juistheid en betrouwbaarheid van persoonsgegevens (artikel 6) 

Onderscheid moet worden gemaakt tussen feiten en persoonlijke waarnemingen, 
in overeenstemming met de mate van betrouwbaarheid. De woorden Voor zover 
mogelijk' worden geschrapt. Zoals ook in het BNC-fiche is aangegeven, zal een 
dergelijk onderscheid in de praktijk van opsporing en vervolging minder goed 
uitvoerbaar zijn. De juistheid van gegevens is niet altijd goed vast te stellen; het 
opsporingsonderzoek is er juist op gericht daar licht op te werpen. 

De rechtmatigheid van de verwerking (artikel 7) 

Er worden specifieke eisen gesteld aan de wetgeving op het gebied van de 
verwerking van persoonsgegevens. Deze eisen hebben betrekking op de doelen 
van de verwerking, de procedure voor de verwerking en het gebruik van de 
verkregen gegevens. Met de Wet politiegegevens en de Wet justitiële en 
strafvorderlijke gegevens, die regels geven over de verwerking van 
persoonsgegevens met het oog op de opsporing en vervolging en 
tenuitvoerlegging van strafbare feiten, wordt aan deze eisen reeds voldaan. 
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Verdere verwerking voor onverenigbare doelen (artikel 7a) 

Verdere verwerking voor onverenigbare doelen is uitsluitend mogelijk wanneer dit 
strikt noodzakelijk en proportioneel is, op grond van een wettelijke regeling. Ik 
sta hier in beginsel positief tegenover. 

Verwerking van genetische gegevens met het oog op een opsporingsonderzoek of 
een strafvorderlijke procedure (artikel 8a) 

Er worden beperkingen gesteld aan de verwerking van genetische gegevens. Dit 
betreft de doelen van de verwerking en de verwerkingstermijnen. Ik sta hier in 
beginsel positief tegenover, maar acht nader onderzoek wenselijk naar de 
Nederlandse wet- en regelgeving ten aanzien van het gebruik van genetische 
gegevens. 

De rechten van de betrokkene (artikelen 19a - 17) 

De LIBE Commissie doet een aantal voorstellen gericht op de verbetering van de 
informatievoorziening aan de betrokkene. Dit betreft onder meer de verplichting 
tot het actief informeren van de betrokkene over onder meer de wettelijke 
grondslag voor de verwerking , de bewaartermijnen en zijn rechten. Als de 
gegevens niet van hemzelf afkomstig zijn dan wordt hij daarover geïnformeerd 
ten tijde van de vastlegging of binnen een redelijke termijn daarna. De door de 
Commissie voorgestelde algemene uitzondering i.v.m. de belangen van opsporing 
en vervolging wordt beperkt tot specifieke gevallen (artikel 11). Aanvullend heeft 
de betrokkene het recht tot kennisneming van de over hem verwerkte gegevens, 
in het bijzonder bij de geautomatiseerde verwerking van gegevens (artikel 12). 
Zoals in het BNC-fiche is vermeld acht de regering een algemene verplichting 
voor de rechtshandhavingsdiensten om een betrokkene actief te informeren dat 
over hem persoonsgegevens worden verwerkt niet goed uitvoerbaar en niet goed 
verenigbaar met de aard van de politietaak. 
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Impact assessments (artikel 25a) 



De verantwoordelijke verricht een privacy impact assessment (PIA) wanneer de 
voorgenomen gegevensverwerkingen vanwege hun aard, reikwijdte of doeleinden 
specifieke risico's vormen voor de rechten en vrijheden van de betrokkene. Dit is 
specifiek aan de orde bij omvangrijke gegevensbestanden, genetische gegevens 
e.d. Er gelden specifieke eisen voor de inhoud van de PIA, en de verwerker is 
gehouden het publiek over de voorgenomen gegevensverwerking te consulteren. 
Ik sta in beginsel positief ten opzichte van dit voorstel, dat aansluit bij het 
Regeerakkoord. Wel vereist de verhouding tussen het voorstel van de LIBE 
Commissie en het Nederlandse beleid rond de PIA's nadere beschouwing. 

Voorafgaande consultatie van de toezichthouder (artikel 26) 

De toezichthouder wordt geconsulteerd met het oog op de toetsing van de 
voorgenomen gegevensverwerking aan de bepalingen van de richtlijn, als de PIA 
uitwijst dat de voorgenomen gegevensverwerking een hoge mate van risico vormt 
of als de toezichthoudende autoriteit een dergelijke consultatie noodzakelijk acht 
vanwege de aard, de reikwijdte of de doeleinden van de verwerking. Als de 
gegevensverwerking niet aan de regels van de richtlijn voldoet, dan wordt die 
verwerking verboden en worden voorstellen gedaan ter verbetering. Ik heb de 
nodige aarzelingen over dit voorstel omdat dit kan leiden tot interferentie met het 
strafproces en de positie van de onafhankelijk rechter bij de beoordeling van een 
strafzaak. 
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Verstrekking van persoonsgegevens aan derde landen (artikelen 33 - 38a) 

De LIBE Commissie stelt voor de door de Commissie voorgestelde regeling te 
versterken. Uitgangspunt voor verstrekking is dat het niveau van 
gegevensbescherming van de richtlijn niet wordt ondermijnd (artikel 33, 
onderdeel ba). De uitzonderingen voor de verantwoordelijke om te verstrekken op 
basis van voldoende waarborgen wordt beperkt(artikel 35). De lidstaten leveren 
informatie over de verstrekkingen aan andere landen aan de Commissie, ten 
behoeve van periodieke rapportages aan het EP (artikel 38a). De door LIBE 
voorgestelde beperkingen acht ik niet goed verenigbaar met het belang van de 
criminaliteitsbestrijding, omdat deze weinig ruimte laten voor de uitwisseling van 
persoonsgegevens met derde landen. 

Bevoegdheden toezichthouder (artikel 46) 

De toezichthoudende autoriteit krijgt uitgebreide bevoegdheden, waaronder een 
tijdelijk of definitief verbod op de gegevensverwerking en de opschorting van de 
gegevensstroom naar een derde land. Ik sta hier in beginsel positief tegenover 
versterking van de bevoegdheden van de toezichthoudende autoriteiten maar 
merk op dat een verbod op de gegevensverwerking een vergaande maatregel 
betreft, die in beginsel rechterlijke tussenkomst vereist. 

Verstrekking persoonsgegevens aan derden (artikel 55a) 

De verstrekking van persoonsgegevens aan derden is mogelijk voor zover in een 
specifieke zaak noodzakelijk voor de vervulling van de wettelijke taak van de 
verstrekker, de voorkoming van een onmiddellijk en ernstig gevaar voor de 
openbare veiligheid of de voorkoming van ernstige aantasting van de rechten van 
personen . Dit lijkt een zinvolle aanvulling op de inhoud van de richtlijn. 

Vooruitzichten 

Het Europees Parlement heeft inmiddels van de rapporteurs een verslag 
ontvangen van de stemming in de LIBE Commissie en de rapporteurs hebben 
inmiddels de voorzitter van het Parlement formeel verzocht de door de LIBE 
Commissie aanvaarde amendementen op de plenaire plenaire zitting in stemming 
te brengen. Het Parlement moet dan ook stemmen over de door de LIBE 
Commissie niet aanvaarde amendementen. De verwachting is dat deze stemming 
in maart of april 2014 plaatsvindt, in elk geval voor de verkiezingen van mei 
2014. 

Indien de Raad erin zou slagen om het door hem geamendeerde voorstel te 
aanvaarden in een "general approach", kunnen de onderhandelingen in de triloog 
(Raad, Commissie en Parlement) beginnen. Zo ver is het nog niet. Wat de 
verordening betreft is naast de discussie over het onestopshop-mechanisme in de 
Raad sprake van veel meer meningsverschillen. Deels vloeien die voort uit 
onderlinge inhoudelijke meningsverschillen. Daarnaast zijn er ook interne 
nationale belangen van lidstaten. En er is ook een vrij grote minderheid van 
lidstaten die het instrument verordening om principiële redenen afwijst. 

Inhoudelijke meningsverschillen zijn naar mijn inschatting oplosbaar. Dat vereist 
compromisbereidheid. Dat is lastiger met nationale belangen en principiële 
standpunten. Met de discussie over de samenwerking van de toezichthouders heb 
ik moeten ervaren hoe moeilijk dat is. Opvallend is dat het steeds verder 
verhogen van de druk op de onderhandelingen door Commissie en Parlement tot 
dusverre geen effect heeft gehad op de compromisbereidheid van enkele grote 
lidstaten. Dat geeft aan dat deze lidstaten vermoedelijk bereid zijn een 
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langduriger uitstel van de afronding van het wetgevingspakket als gevolg van de 
Europese verkiezingen te aanvaarden. Met de onmogelijkheid om op de JBZ Raad 
een gedeeltelijke "general approach" te bereiken op samenwerking tussen de 
toezichthouders - zowel inhoudelijk als qua omvang een substantieel deel van de 
verordening - is aanvaarding door de Raad in elk geval niet dichterbij gekomen. 
Ik doe geen uitspraken over de verwachtingen voor het voorjaar. Dat zou 
speculatief zijn. Ik stel u daarom voor u weer te berichten na de informele Raad in 
januari 2014 in Athene. 
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Wat betreft de ontwerprichtlijn bestaat de indruk dat de frequentie van de 
vergaderingen van de raadswerkgroepen - en daarmee de intensiteit en 
voortgang van de onderhandelingen - nauw wordt afgestemd op de voortgang 
van de onderhandelingen over de ontwerpverordening, zodat de beide 
rechtsinstrumenten tegelijk kunnen worden vastgesteld. Bij een aantal lidstaten 
bestaan echter grote reserves ten opzichte van nut en noodzaak van de 
ontwerprichtlijn. Deze lidstaten achten het wenselijk eerst de evaluatie van het 
kaderbesluit dataprotectie, dat in sommige lidstaten nog niet volledig is 
geïmplementeerd, af te wachten voordat deze wordt vervangen door een richtlijn. 
Onder het Letse voorzitterschap is begonnen aan een tweede behandeling van de 
ontwerptekst. Mede in het licht van de stand van zaken rond de 
ontwerpverordening zijn thans geen betrouwbare voorspellingen te doen over het 
verdere verloop van de onderhandelingen gedurende 2014. 



De Staatssecretaris van Veiligheid en Justitie, 



F. Teeven 
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